РКН Аудит
Возврат товара — это второй круг сбора персональных данных: заявление, реквизиты счёта для перевода денег, иногда копия паспорта. Отдельное согласие для этого не нужно: обработка, необходимая для исполнения договора, разрешена пунктом 5 части 1 статьи 6 152-ФЗ. Но основание не отменяет двух других требований — объём данных должен соответствовать цели, а после того как цель достигнута, данные подлежат уничтожению.
Проверить бесплатно, что видно на страницах вашего магазина ←
Какие данные появляются у магазина при возврате?
При обычном заказе магазин знает имя, телефон, адрес доставки и состав корзины. Возврат добавляет к этому новый слой:
- заявление или форму отказа — с ФИО, контактами и номером заказа;
- банковские реквизиты — если оплата была безналичной и деньги возвращаются на счёт;
- сведения о причине возврата — иногда это данные о состоянии здоровья или предпочтениях, то есть более чувствительная категория, чем всё остальное;
- переписку — скриншоты, фотографии товара, сообщения в мессенджере;
- копию документа — если сотрудник решил «на всякий случай» её запросить.
Последние два пункта — источник большинства проблем. Фотографии и переписка оседают в чатах поддержки и на личных устройствах сотрудников, а копии паспортов — в папке на общем диске. Ни то, ни другое обычно не описано ни в политике обработки, ни в перечне мест хранения.
Нужно ли согласие покупателя на обработку возврата?
Нет, если вы остаётесь внутри договора. Пункт 5 части 1 статьи 6 152-ФЗ разрешает обработку, которая необходима для исполнения договора, стороной которого является субъект персональных данных. Возврат товара и возврат денег — часть этих отношений, а не новая история.
Отдельное основание понадобится в двух ситуациях:
- Данные используются для маркетинга. Сегмент «часто возвращает товары» для рассылки — это уже не исполнение договора, а продвижение, и ему нужна своя правовая опора. Как устроена эта граница, разобрано в статье «Статья 15 152-ФЗ: обработка данных для маркетинга».
- Данные передаются третьему лицу. Если это самостоятельный оператор — например, сервис проверки покупателей на добросовестность, — ему нужна своя опора. Если это ваш подрядчик и он работает по поручению, часть 3 статьи 6 152-ФЗ тоже говорит о согласии субъекта; подробнее — в разделе про курьеров и ПВЗ ниже.
Третий частый сюжет — сбор данных, которые для самого возврата не нужны. Там вопрос не в основании, а в соразмерности: про неё ниже.
Главное следствие: если возврат обрабатывается строго в рамках договора, отдельное согласие именно на это не нужно. Но из этого не следует, что форма возврата может обойтись без согласия вообще: как только она собирает что-то сверх нужного для возврата или заодно подписывает на рассылку, согласие снова обязательно — и его отсутствие видно снаружи, разбор есть в статье «Форма без чекбокса согласия: чем это грозит сайту». А самые частые нарушения здесь другие — избыточный объём и хранение без цели.
Какие данные при возврате избыточны?
Часть 5 статьи 5 152-ФЗ формулирует правило коротко: содержание и объём обрабатываемых персональных данных должны соответствовать заявленным целям обработки, а избыточность по отношению к этим целям недопустима.
Часть 4 статьи 26.1 Закона РФ «О защите прав потребителей» называет при дистанционной продаже только один документ — подтверждающий факт и условия покупки, да и его отсутствие не лишает покупателя права ссылаться на другие доказательства приобретения товара. Паспорт ни закон, ни Правила продажи товаров при дистанционном возврате не требуют. Значит, всё, что запрашивается сверх этого, продавец решает сам — и сам отвечает за соразмерность решения.
Практический тест: на какой вопрос отвечает каждое поле?
| Что запрашивают | Для чего это нужно | Соразмерно? |
|---|---|---|
| ФИО, номер заказа, контакт | Идентифицировать сделку и связаться | Да |
| Реквизиты счёта или карты для перевода | Вернуть деньги безналично | Да, если возврат идёт на счёт |
| Серия и номер паспорта | Подтвердить личность при выдаче наличных в офисе | Да, в этой ситуации |
| Полная копия или скан паспорта в файлах магазина | Как правило, ничем не обосновано | Нет |
| Причина возврата в свободной форме | Внутренняя аналитика | Спорно: данные о здоровье лучше не собирать вовсе |
| Фотография покупателя с товаром | Спорная практика проверки | Нет |
Обработка данных в объёме, несовместимом с целями сбора, — самостоятельный состав по части 1 статьи 13.11 КоАП РФ, отдельный от нарушений с политикой и согласиями. Причём доказывать соразмерность придётся оператору: именно он определил объём.
Сколько времени у покупателя на возврат и почему это влияет на хранение?
Сроки возврата задают тот период, в течение которого цель обработки ещё не достигнута, — а значит, определяют и минимальный срок хранения данных о заказе.
| Что происходит | Срок | Откуда он |
|---|---|---|
| Отказ от товара до его передачи | В любое время | Закон РФ «О защите прав потребителей», дистанционная продажа |
| Отказ после передачи товара | 7 дней | Там же |
| Отказ, если письменная информация о порядке и сроках возврата не была предоставлена при доставке | 3 месяца | Там же |
| Возврат денежной суммы покупателю | Не позднее 10 дней со дня предъявления требования | Там же |
| Уничтожение данных после достижения цели обработки | Не более 30 дней, если иное не установлено договором или законом | часть 4 статьи 21 152-ФЗ |
| Хранение первичных учётных документов | Не менее 5 лет после отчётного года | Федеральный закон №402-ФЗ «О бухгалтерском учёте» |
Отсюда видно, почему «удалить всё сразу после сделки» — плохой ответ. Пока не истёк срок на отказ от товара, договорные отношения продолжаются. А документы о совершённой оплате хранятся по правилам бухгалтерского учёта независимо от того, чего хочет покупатель.
Важная деталь про трёхмесячный срок: он включается не сам по себе, а если продавец не передал письменную информацию о порядке и сроках возврата при доставке. Магазины, которые кладут такую памятку в каждую посылку, сокращают и срок претензий, и срок, в течение которого им нужно держать данные «на всякий случай».
Что делать с данными, когда возврат завершён?
Часть 7 статьи 5 152-ФЗ требует хранить персональные данные в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки; по достижении целей данные подлежат уничтожению или обезличиванию, если иное не предусмотрено федеральным законом. Часть 4 статьи 21 152-ФЗ добавляет срок: уничтожить — не более чем за тридцать дней с даты достижения цели, если иное не предусмотрено договором с покупателем, иным соглашением с ним или законом. Эта оговорка и есть причина, по которой первичные документы остаются у магазина после закрытия сделки.
На практике это раскладывается на три корзины.
Первая — уничтожить. Всё, что было нужно только для доставки и связи и больше ни на чём не держится: адрес доставки в CRM, комментарий курьеру, черновики переписки, фотографии из чата поддержки, сканы документов, которые не должны были появиться.
Вторая — сохранить по другому основанию. Первичные документы, где ФИО и адрес — реквизиты операции. Основание тут не согласие и не договор, а обязанность оператора, предусмотренная законом: пункт 2 части 1 статьи 6 152-ФЗ.
Третья — обезличить. Аналитика по возвратам почти всегда прекрасно живёт без имён: достаточно категории товара, причины и периода. Чем отличается обезличивание от псевдонимизации и когда данные перестают быть персональными, разобрано в статье «Обезличивание персональных данных».
Факт уничтожения нужно уметь подтвердить: требования к подтверждению уничтожения персональных данных установлены приказом Роскомнадзора №179. Для небольшого магазина это не бюрократия ради бюрократии, а единственный способ ответить на вопрос «а где эти данные сейчас», если он однажды прозвучит.
Кто оператор, если возврат идёт через ПВЗ, курьера или маркетплейс?
Разграничение решается тем, по чьему заданию и в чьих целях обрабатываются данные.
Курьерская служба и пункт выдачи обычно обрабатывают данные по вашему поручению. Часть 3 статьи 6 152-ФЗ разрешает поручить обработку другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, и на основании договора, в котором определены перечень действий с данными, цели обработки, обязанность соблюдать конфиденциальность и требования к защите. Именно поэтому передачу курьерской службе и платёжному сервису принято закрывать согласием и описывать в политике, а не считать автоматически покрытой договорным основанием. Ответственность перед покупателем при этом остаётся на операторе — то есть на магазине.
Маркетплейс — отдельная история: он обрабатывает данные и в своих целях тоже, а значит, выступает самостоятельным оператором на своём участке. Кто за что отвечает в этой схеме, разобрано в статье «Маркетплейс и персональные данные: кто здесь оператор».
Проверить стоит простую вещь: перечислены ли эти подрядчики в вашей политике обработки. Если политика молчит о передаче данных курьерской службе, а форма заказа её очевидно предполагает, расхождение вскроется при первом же обращении покупателя или запросе регулятора. Автоматически проверяется вещь попроще и не менее частая: совпадает ли перечень категорий данных в политике с тем, что реально собирают ваши формы.
Может ли покупатель потребовать удалить данные после возврата?
Да, и на такое обращение нужно отвечать. Но «удалить всё» и «удалить то, что держалось на согласии» — разные вещи.
Часть 2 статьи 9 закона о персональных данных прямо говорит: при отзыве согласия оператор вправе продолжить обработку без согласия при наличии оснований из пунктов 2–11 части 1 статьи 6 того же закона о персональных данных. Бухгалтерские документы по совершённой сделке — как раз такой случай.
Правильный ответ покупателю выглядит так: что удалено, что сохранено, на каком основании и до какого срока. Сроки здесь разные, и их легко перепутать. Ответить на запрос сведений об обработке нужно за десять рабочих дней с возможностью продлить не более чем на пять рабочих дней по мотивированному уведомлению (статья 20 152-ФЗ). Если покупатель представил сведения о том, что данные больше не нужны для заявленной цели, — уничтожить их надо за семь рабочих дней (часть 3 статьи 20 152-ФЗ). При отзыве согласия и по достижении цели работает тридцатидневный срок статьи 21 152-ФЗ. Разбор всех сроков — в статье «Право на удаление персональных данных».
Молчание — худший из вариантов: нарушение прав субъекта квалифицируется отдельно от всех нарушений с документами.
Что проверить в своём магазине за полчаса
- Найдите все места, где живут данные о возвратах: CRM, почта, чаты поддержки, папки со сканами.
- Посмотрите, есть ли среди них копии документов, которые вы не собирались собирать.
- Сверьте перечень данных в политике обработки с тем, что реально запрашивает форма возврата.
- Проверьте, названы ли в политике курьерская служба, платёжный сервис и служба поддержки.
- Определите срок, после которого данные о закрытом заказе уничтожаются, и проверьте, что он где-то записан.
- Убедитесь, что у формы возврата есть тот же набор элементов, что и у формы заказа: текст согласия там, где оно нужно, и рабочая ссылка на политику. Как оформляется электронное согласие и чем оно доказывается, разобрано в статье «Электронное согласие на обработку персональных данных».
Первое, что увидит внешний наблюдатель, — это формы и политика. Их состояние можно проверить автоматически, не дожидаясь ни жалобы покупателя, ни запроса регулятора.
→ Проверить сайт магазина на нарушения 152-ФЗ (бесплатно, 30 секунд)
Что читать дальше
- Персональные данные покупателей интернет-магазина — полная воронка от корзины до доставки
- Нужно ли интернет-магазину уведомлять Роскомнадзор — когда уведомление обязательно
- Право на удаление персональных данных — как отвечать на требования покупателей
- Обезличивание персональных данных — как сохранить аналитику и убрать имена
Источники: статьи 5, 6, 9, 20 и 21 Федерального закона №152-ФЗ «О персональных данных», Закон РФ «О защите прав потребителей», дистанционный способ продажи товара, Федеральный закон №402-ФЗ «О бухгалтерском учёте».